Azure Kubernetes Service (AKS) で許可された IP アドレス範囲を使用して API サーバーへのアクセスをセキュリティで保護する

az aks create コマンドを --api-server-authorized-ip-ranges パラメーターと共に使用して、API サーバーの承認された IP 範囲が有効になっている AKS クラスターを作成します。 次の例では、myResourceGroup という名前のリソース グループに myAKSCluster という名前のクラスターを作成し、IP アドレス範囲73.140.245.0/24 API サーバーにアクセスできるようにします。

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --generate-ssh-keys

New-AzAksCluster コマンドレットと -ApiServerAccessAuthorizedIpRange パラメーターを使用して、API サーバーの承認済み IP 範囲が有効になっている AKS クラスターを作成します。 次の例では、myResourceGroup という名前のリソース グループに myAKSCluster という名前のクラスターを作成し、IP アドレス範囲73.140.245.0/24 API サーバーにアクセスできるようにします。

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '73.140.245.0/24' -GenerateSshKey

1. Azure portal のホーム ページから、[リソースの作成]>[コンテナー]>[Azure Kubernetes Service (AKS)] の順に選択します。
2. 必要に応じてクラスター設定を構成します。
3. [ネットワーク] セクションの [パブリック アクセス] で、[許可された IP 範囲の設定] を選択します。
4. [IP 範囲の指定] に、API サーバーへのアクセスを許可する IP アドレス範囲を入力します。
5. 必要に応じて、クラスター設定の残りの部分を構成します。
6. 準備ができたら、[確認と作成]>[作成] を選択してクラスターを作成します。

Azure CLIを使用して Standard SKU ロード バランサーの送信 IP を指定する

API サーバーの承認された IP 範囲を有効にしてクラスターを作成する場合は、 --load-balancer-outbound-ips または --load-balancer-outbound-ip-prefixes パラメーターを使用して、その送信 IP アドレスまたはプレフィックスを指定することもできます。 AKS では、 --api-server-authorized-ip-ranges パラメーターの IP アドレスに加えて、これらの IP アドレスも許可されます。

--load-balancer-outbound-ips パラメーターを使用して、API サーバー承認済み IP 範囲が有効になっている AKS クラスターを作成し、Standard SKU ロード バランサーの送信 IP アドレスを指定します。 次の例では、myResourceGroup という名前のリソース グループに myAKSCluster という名前のクラスターを作成し、73.140.245.0/24 で指定した範囲から API サーバーにアクセスできるようにし、Standard SKU ロード バランサーに 2 つの送信 IP アドレスを指定します。 <public-ip-id-1>と<public-ip-id-2>をお使いのパブリック IP アドレスのリソース ID に置き換えます。

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --load-balancer-outbound-ips <public-ip-id-1>,<public-ip-id-2> --generate-ssh-keys

--api-server-authorized-ip-ranges パラメーターを使用して、Standard SKU ロード バランサーの送信元パブリック IP のみが API サーバーにアクセスできるようにする AKS クラスターを作成します。 次の例では、myResourceGroup という名前のリソース グループに myAKSCluster という名前のクラスターを作成します。

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 0.0.0.0/32 --generate-ssh-keys

-ApiServerAccessAuthorizedIpRange パラメーターを使用して、Standard SKU ロード バランサーの送信元のパブリック IP のみが API サーバーにアクセスできる AKS クラスターを作成します。 次の例では、myResourceGroup という名前のリソース グループに myAKSCluster という名前のクラスターを作成します。

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '0.0.0.0/32' -GenerateSshKey

1. Azure portal のホーム ページから、[リソースの作成]>[コンテナー]>[Azure Kubernetes Service (AKS)] の順に選択します。
2. 必要に応じてクラスター設定を構成します。
3. [ネットワーク] セクションの [パブリック アクセス] で、[許可された IP 範囲の設定] を選択します。
4. [ IP 範囲の指定] に「 0.0.0.0/32」と入力します。 この設定では、Standard SKU ロード バランサーの送信パブリック IP のみが許可されます。
5. 必要に応じて、クラスター設定の残りの部分を構成します。
6. 準備ができたら、[確認と作成]>[作成] を選択してクラスターを作成します。

az aks update コマンドを --api-server-authorized-ip-ranges パラメーターと共に使用して、クラスターの API サーバーの承認済み IP 範囲を更新します。 次の例では、myResourceGroup という名前のリソース グループ内の myAKSCluster という名前のクラスターに対して、承認された範囲を 73.140.245.0/24 に設定します。

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24

Azure CLIを使用して複数の IP アドレス範囲を許可する

複数の IP アドレス範囲を許可するには、それらをコンマで区切ります。

az aks update コマンドを --api-server-authorized-ip-ranges パラメーターと共に使用して、複数の IP アドレス範囲を許可します。 次の例では、myResourceGroup という名前のリソース グループ内の myAKSCluster という名前のクラスターを更新します。

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24,193.168.1.0/24,194.168.1.0/24

クラスターの API サーバーの承認済み IP 範囲を更新するには、Set-AzAksCluster コマンドレットを -ApiServerAccessAuthorizedIpRange パラメーターと共に使用します。 次の例では、myResourceGroup という名前のリソース グループ内の myAKSCluster という名前のクラスターに対して、承認された範囲を 73.140.245.0/24 に設定します。

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange '73.140.245.0/24'

1. Azure portal に移動し、更新する AKS クラスターを選択します。
2. サービス メニューの [設定] で [ ネットワーク] を選択します。
3. [リソース設定] で、[管理] を選択します。
4. [許可された IP 範囲] ページで、必要に応じて [許可された IP 範囲] を更新します。
5. 終了したら、保存を選択してください。

API サーバーの承認された IP 範囲を無効にするには、az aks update コマンドを使用し、--api-server-authorized-ip-ranges パラメーターに空の範囲 "" を指定します。

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges ""

API サーバーで承認された IP 範囲を無効にするには、Set-AzAksCluster コマンドレットを使用し、-ApiServerAccessAuthorizedIpRange パラメーターに空の範囲 '' を指定します。

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange ''

1. Azure portal に移動し、更新する AKS クラスターを選択します。
2. サービス メニューの [設定] で [ ネットワーク] を選択します。
3. [リソース設定] で、[管理] を選択します。
4. [許可された IP 範囲] ページで、[許可された IP 範囲の設定] チェック ボックスをオフにします。
5. 保存 を選択します。

既存の API サーバーの承認された IP 範囲を検索するには、az aks show コマンドを使用し、--query パラメーターを apiServerAccessProfile.authorizedIpRanges に設定します。

az aks show --resource-group myResourceGroup --name myAKSCluster --query apiServerAccessProfile.authorizedIpRanges

出力例:

[
    "73.140.245.0/24"
]

既存の API サーバーの承認された IP 範囲を検索するには、 Get-AzAksCluster コマンドレットを使用します。

Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster | Select-Object -ExpandProperty ApiServerAccessProfile

出力例:

AuthorizedIPRanges: {73.140.245.0/24}
...

1. Azure portal に移動し、AKS クラスターを選択します。

2. サービス メニューの [設定] で [ ネットワーク] を選択します。

   [リソース設定] セクションには、[ネットワーク] ページで現在構成されている承認済み IP 範囲が表示されます。

   

1. 次のコマンドを実行して IP アドレスを取得し、取得した IP アドレスを環境変数として設定します。

   # Retrieve your IP address
   CURRENT_IP=$(dig +short "myip.opendns.com" "@resolver1.opendns.com")
   

2. az aks update コマンドを --api-server-authorized-ip-ranges パラメーターと共に使用して、承認された範囲に IP アドレスを追加します。 次の例では、myResourceGroup という名前のリソース グループ内の myAKSCluster という名前のクラスター上の既存の範囲に現在の IP アドレスを追加します。

   az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges $CURRENT_IP/32,73.140.245.0/24
   

1. 次のコマンドを実行して自分の IP アドレスを取得し、環境変数として設定します。

   # Retrieve your IP address
   $CURRENT_IP = (Invoke-RestMethod -Uri 'https://ipinfo.io/json').ip
   

2. Set-AzAksCluster コマンドレットを -ApiServerAccessAuthorizedIpRange パラメーターと共に使用して、承認された範囲に IP アドレスを追加します。 次の例では、myResourceGroup という名前のリソース グループ内の myAKSCluster という名前のクラスター上の既存の範囲に現在の IP アドレスを追加します。

   Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange "$CURRENT_IP/32", '73.140.245.0/24'